Wie kann man mit OpenSSL unter Windows ein Zertifikat erstellen?

1. Einleitung
2. Installation von OpenSSL unter Windows
3. Erstellung eines privaten Schlüssels
4. Erstellung einer Zertifikatsanfrage (CSR)
5. Erstellung eines selbstsignierten Zertifikats
6. Verwendung des Zertifikats unter Windows
7. Fazit

Einleitung

OpenSSL ist ein weit verbreitetes Tool zur Erstellung und Verwaltung von Zertifikaten. Auch unter Windows kann OpenSSL eingesetzt werden, um eigene Zertifikate zu generieren, beispielsweise für die Entwicklung, Tests oder den internen Gebrauch. Diese Anleitung erklärt ausführlich, wie man unter Windows ein Zertifikat mit OpenSSL erstellt.

Installation von OpenSSL unter Windows

Bevor man Zertifikate erstellen kann, muss OpenSSL zunächst auf dem Windows-System installiert werden. Es gibt verschiedene vorgefertigte Windows-Binärpakete, die heruntergeladen und einfach installiert werden können. Empfehlenswert ist die offizielle Seite der OpenSSL-Community oder vertrauenswürdige Drittanbieter. Nach der Installation sollte man die Umgebungsvariable PATH anpassen oder den Pfad zur OpenSSL-Executable direkt im Terminal angeben, damit OpenSSL-Befehle von der Kommandozeile aus benutzt werden können.

Erstellung eines privaten Schlüssels

Das Erstellen eines Zertifikats beginnt mit der Generierung eines privaten Schlüssels. Dieser Schlüssel ist notwendig, um das Zertifikat zu signieren und eine sichere Verbindung zu gewährleisten. Unter Windows kann der Befehl im Terminal wie folgt aussehen:

openssl genpkey -algorithm RSA -out privat.key -pkeyopt rsa_keygen_bits:2048

Dieser Befehl erzeugt einen RSA-Schlüssel mit einer Schlüssellänge von 2048 Bits und speichert ihn in der Datei privat.key.

Erstellung einer Zertifikatsanfrage (CSR)

Nachdem der private Schlüssel vorliegt, wird eine Zertifikatsignieranforderung (CSR – Certificate Signing Request) erstellt. Diese Anfrage enthält Informationen über den Antragsteller und wird bei einer Zertifizierungsstelle eingereicht, um ein offizielles Zertifikat zu erhalten. Für Testzwecke oder interne Nutzung kann man das selbst signierte Zertifikat auch eigenständig erzeugen.

openssl req -new -key privat.key -out zertifikat.csr

Während dieses Befehls werden verschiedene Daten abgefragt, wie z. B. Landes- und Organisationsnamen.

Erstellung eines selbstsignierten Zertifikats

Für Entwicklungszwecke reicht oftmals ein selbstsigniertes Zertifikat aus. Dieses Zertifikat wird mit dem eigenen privaten Schlüssel signiert. Der OpenSSL-Befehl hierfür unter Windows lautet:

openssl req -x509 -days 365 -key privat.key -in zertifikat.csr -out zertifikat.crt

Dies erzeugt ein Zertifikat mit einer Gültigkeit von 365 Tagen. Das Ergebnis ist die Datei zertifikat.crt, welche zusammen mit dem privaten Schlüssel verwendet werden kann.

Verwendung des Zertifikats unter Windows

Das erstellte Zertifikat und der private Schlüssel können in verschiedenen Anwendungen unter Windows eingebunden werden, zum Beispiel in Webservern wie Apache oder IIS. Für IIS ist es üblich, Zertifikate in einem PFX-Format zu importieren. Dieses Format kombiniert privaten Schlüssel und Zertifikat.

openssl pkcs12 -export -out zertifikat.pfx -inkey privat.key -in zertifikat.crt

Nach der Erstellung der PFX-Datei kann das Zertifikat über die Windows-Zertifikatverwaltung importiert und verwendet werden.

Fazit

Die Erstellung eines Zertifikats unter Windows mit OpenSSL ist ein mehrstufiger Prozess, der mit dem Herunterladen und Installieren von OpenSSL beginnt, gefolgt von der Erzeugung eines privaten Schlüssels, einer CSR und schließlich eines Zertifikats. Selbstsignierte Zertifikate sind insbesondere für Test- und Entwicklungsumgebungen geeignet. Die Flexibilität von OpenSSL macht es zu einem unverzichtbaren Werkzeug im Bereich der IT-Sicherheit.